Digital Signage klingt erstmal harmlos: Bildschirme, die Inhalte zeigen. Spätestens wenn die ersten Player ans Netz gehen, die ersten Geräte-Heartbeats im CMS landen und vielleicht auch noch Statistiken über Aufrufe gesammelt werden, betritt man aber den Geltungsbereich der DSGVO. Dieser Artikel zeigt, was tatsächlich relevant ist und wie sich der Betrieb sauber aufsetzen lässt.

Was Digital Signage mit personenbezogenen Daten zu tun hat

Personenbezogene Daten entstehen in Digital-Signage-Systemen an drei Stellen:

  • Inhalte selbst: Geburtstagsglückwünsche an Mitarbeiter, Fotos der Auszubildenden, Belegungslisten an der Rezeption — alles personenbezogen, sobald jemand identifizierbar ist.
  • Geräte- und Logdaten: IP-Adresse des Players, Geräte-ID, Heartbeats, Logs über Bildschirm-Inhalte. Die IP gilt als personenbezogen, sobald sie mit einem Mitarbeiter verknüpfbar ist.
  • Bedien- und Nutzungsdaten: Wer ist als Admin im CMS angemeldet, welche Inhalte hat er hochgeladen, wann? Diese „normalen" Mitarbeiter-Aktivitäten unterliegen ebenfalls dem Datenschutz.

Ein viertes, oft unterschätztes Thema sind interaktive Touch-Anwendungen: sobald Besucher selbst etwas eingeben (Name, Telefon, Selfie für ein Gewinnspiel), wird aus „nur ein Display" eine Datenverarbeitung mit Einwilligungserfordernis.

Die typischen Risiko-Punkte

Drei Bereiche fallen bei Prüfungen am häufigsten auf:

  1. Player phone home: viele Cloud-basierte Player schicken im Hintergrund Telemetrie an den Hersteller — wie lang ein Bildschirm an war, welche Inhalte gezeigt wurden, Gerätestandort. Ohne AV-Vertrag (Art. 28 DSGVO) ist das problematisch, mit AVV häufig nur grenzwertig vertretbar, wenn der Hersteller außerhalb der EU sitzt.
  2. Inhalte in fremder Cloud: das CMS speichert alle Inhalte beim SaaS-Anbieter. Sobald sich darunter personenbezogene Inhalte befinden, ist das eine Auftragsverarbeitung — mit allen Konsequenzen (Vertrag, TOMs, Dokumentation, Drittland-Frage).
  3. Analytics/Tracking-Module: einige Plattformen messen Aufrufstatistiken über externe Dienste (Google Analytics auf dem Player). Das ist in fast allen Konstellationen einwilligungspflichtig und auf einem öffentlichen Display kaum darstellbar.

Warum Cloud-only-Lösungen rechtlich heikel werden

Cloud-basierte Digital-Signage-Plattformen (typischerweise SaaS, Pro-Screen-Abo) sind aus Sicht der Datenschutzaufsicht nicht per se verboten — aber sie zwingen den Betreiber in eine Verarbeiterrolle nach Art. 28 DSGVO. Das heißt: AVV mit dem Anbieter, Prüfung der Sub-Auftragnehmer, ggf. Standardvertragsklauseln für Drittland, Eintrag im Verfahrensverzeichnis, Aktualisierung der Datenschutzhinweise.

Für viele Anwendungsfälle ist das gut machbar. Sobald aber besonders sensible Inhalte ins Spiel kommen — Patientenaufrufe in der Arztpraxis, Mitarbeiter-Kennzahlen, interne Roadmaps an der Wand des Entwicklungsbüros — wird der bequeme Cloud-Weg zu einem dauerhaften Kontroll-Thema.

Self-Hosted-Lösungen entkoppeln das Problem: solange die Plattform technisch nichts nach außen sendet, gibt es keinen Auftragsverarbeiter. Das spart sehr viel Papierkram — und schützt Inhalte zuverlässig vor Abfluss.

Self-Hosted-Setup: Checkliste für die DSGVO

Wenn Sie Displayna oder eine vergleichbare Self-Hosted-Plattform aufsetzen, sind folgende Punkte sinnvoll:

  • Server-Standort EU/Eigenes Haus: keine USA, kein Hyperscaler ohne EU-only-Konfiguration.
  • Verschlüsselte Verbindung: zwischen Player und CMS HTTPS einsetzen, intern reichen selbst-signierte Zertifikate mit eigener CA.
  • Zugriffsrechte: separate Admin-Konten für jeden, der Inhalte einstellt; keine Sammel-Accounts. Logging aktivieren, aber Logs nicht ewig aufbewahren.
  • Externe Widgets prüfen: Wetter-Widget über Open-Meteo (EU, kein Tracking) statt OpenWeather; RSS-Feeds direkt am Server abrufen statt über Drittanbieter.
  • Backup-Strategie: tägliches Backup des CMS, verschlüsselt, an einen Ort, der ebenfalls der DSGVO unterliegt.
  • Löschkonzept: definieren, wann Inhalte und Logs automatisch gelöscht werden (Mitarbeiter-Geburtstage z. B. nach 7 Tagen archivieren/löschen).

AVV, TOMs und Verfahrensverzeichnis — was Sie wirklich brauchen

Bei einer reinen Self-Hosted-Installation sind die formalen Anforderungen überschaubar:

  • Kein AVV mit Drittanbietern nötig, solange keine externen Dienste eingebunden sind.
  • Technisch-organisatorische Maßnahmen (TOMs) dokumentieren Sie einmalig — Inhalte sind: Zugriffsbeschränkung (Passwörter), Verschlüsselung im Transit, regelmäßige Updates, Trennung zwischen Test- und Produktivumgebung. Eine Seite reicht meist.
  • Verfahrensverzeichnis ergänzen Sie um den Eintrag „Digital Signage / Bildschirminhalte": Zweck, Datenkategorien, Empfänger (intern), Löschfristen, TOMs. Auch eine halbe Seite.
  • Datenschutzhinweise für Mitarbeiter ergänzen, wenn deren Bilder/Namen erscheinen können.

Wer eine Plattform mit Cloud-Anteil betreibt, hat zusätzlich AVV, Drittlands-Klauseln, Sub-Verarbeiter-Liste und ggf. Datenschutz-Folgenabschätzung am Hals — der Aufwand ist deutlich größer.

Fazit

Digital Signage und DSGVO sind kein Widerspruch — aber der Weg dorthin hängt davon ab, ob die Plattform von vornherein ohne externe Kontrolle auskommt. Self-Hosted-Lösungen wie Displayna sind kein Bürokratie-Trick: sie ersparen Aufgaben, die bei Cloud-Lösungen unvermeidlich sind, und halten Inhalte technisch da, wo sie hingehören — auf Ihrem Server, in Ihrer Hand.

Wer noch eine Plattform sucht, findet auf unserer Seite Sicherheit & DSGVO eine konkrete Aufstellung dazu, was Displayna tut und vor allem: was es nicht tut.